Claude Code Permissions: Neuer Schalter für rm-Befehle

Claude Code fragt nach, bevor es etwas Riskantes tut. Wer diese Rückfragen nicht will, startet den Modus bypassPermissions. Eine letzte Sicherung blieb bisher aber auch dort: Löschbefehle auf besonders wichtige Ordner. Seit Version 2.1.311 lässt sich auch diese Sicherung abschalten. Hier steht, was sich geändert hat, wann du die Finger davon lassen solltest und wie du Team-Rechner absicherst. Stand: Oktober 2026.

Was passiert ist

Claude Code kennt sechs Berechtigungsmodi: default (in der Oberfläche „Manual“), acceptEdits, plan, auto, dontAsk und bypassPermissions (Anthropic-Doku zu Permission Modes). Der letzte ist der radikalste. Laut Doku schaltet er Rückfragen und Sicherheitsprüfungen ab, Tool-Aufrufe laufen sofort. Du startest ihn mit claude --permission-mode bypassPermissions oder mit dem gleichwertigen Flag --dangerously-skip-permissions (Doku). Anthropic empfiehlt ihn ausdrücklich nur für isolierte Container und virtuelle Maschinen.

Eine Ausnahme galt bisher auch in diesem Modus: rm- und rmdir-Befehle auf sogenannte kritische Pfade. Dazu zählen laut Doku das Wurzelverzeichnis, Top-Level-Ordner wie /usr oder /etc, dein Home-Verzeichnis sowie dein Arbeitsverzeichnis und alle Ordner darüber. Im Terminal fragt Claude Code bei solchen Befehlen nach und zeigt einen Countdown von zwei Minuten. Antwortest du nicht, lehnt es den Befehl ab. Nach drei unbeantworteten Rückfragen in einer Sitzung lehnt es weitere solche Befehle sofort ab. Das gilt ab Version 2.1.281 (Doku). In der Desktop-App und im Chat-Panel von VS Code fragt Claude Code gar nicht erst, sondern lehnt ab. Seit Version 2.1.309 vom 22. Oktober 2026 gibt es dazu einen Hinweis, wie sich der Befehl umschreiben lässt, damit unbeaufsichtigte Sitzungen weiterlaufen (Changelog).

Neu ist ab Version 2.1.311 diese Umgebungsvariable (Doku):

export CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS=1
claude --permission-mode bypassPermissions

Ist sie gesetzt, laufen solche Löschbefehle im Bypass-Modus ohne Rückfrage. Anthropic schreibt dazu selbst eine Warnung in die Doku: Du verlierst eine Sicherheitsabfrage vor zerstörerischen Löschbefehlen, und ein Befehl wie rm -rf ~ kann laufen, ohne dich zu fragen. Setzen sollst du die Variable nur in einer isolierten Umgebung, deren Inhalt du verlieren kannst. rm -rf ~ löscht dein komplettes Home-Verzeichnis, also Dokumente, Projekte und Einstellungen.

Im Changelog steht beim Eintrag zu Version 2.1.311 vom 26. Oktober 2026 nichts dazu. Bekannt gemacht hat die Änderung Anthropic-Mitarbeiterin Daisy Hollman in einem Social-Media-Post. Auf Zweifel antwortete sie laut The Register mit „Not a joke!“.

Was schaltet die Variable genau frei?

Die Doku grenzt den Schalter recht eng ein (Permission Modes):

• Nur im Modus bypassPermissions, nicht im Plan-Modus.
• Nur für Befehle, die die Prüfung auf kritische Pfade markiert, und nur in den Werkzeugen Bash und Monitor. Befehle, die Claude Code nicht vollständig auswerten kann, laufen dann ebenfalls ohne Rückfrage.
• Nur aus der Startumgebung. Trägst du die Variable in den env-Block einer Einstellungsdatei ein, ignoriert Claude Code sie.
• Beim Start meldet sich Claude Code. Steht dort „is set, so dangerous rm commands can run without a prompt“, ist der Schalter aktiv.

Wirkungslos bleibt die Variable unter anderem, wenn die Sitzung im Chat-Panel von VS Code oder in der Desktop-App läuft, wenn Claude Code die Sitzung selbst startet (Hintergrundsitzungen, Agent-Team-Mitglieder, Remote Control) oder wenn eine Deny- oder Ask-Regel Bash, Edit oder Read betrifft. Auch ein claude, das aus einer anderen Claude-Sitzung heraus startet, ignoriert sie. Anthropic schreibt aber ausdrücklich, dass du dich auf diese Grenze nicht als Sicherheitsbarriere verlassen sollst (Doku).

War die Rückfrage überhaupt ein Sicherheitsnetz?

Nur ein dünnes. Anthropic schreibt selbst, dass die Prüfung auf kritische Pfade manche Befehle übersieht und eine Absicherung auf Betriebssystemebene wie Sandboxing nicht ersetzt (Doku). Ein Befehl, den die Prüfung nicht erkennt, läuft im Bypass-Modus ohnehin ohne Rückfrage durch. Dazu kommt: Laut Doku schützt bypassPermissions nicht vor Prompt Injection oder ungewollten Aktionen. Liest der Agent also eine präparierte Webseite oder Datei, kann er Anweisungen daraus ausführen.

Ein paar harte Grenzen bleiben. Auf Linux und macOS verweigert Claude Code den Bypass-Modus, wenn es als root oder mit sudo läuft, außer in einer erkannten Sandbox. Deny-Regeln greifen in jedem Modus (Doku).

Die neue Variable nimmt also kein starkes Schloss weg, sondern eine letzte Warnung. Genau diese Warnung hat aber schon so manchen bewahrt, der den Bypass-Modus auf dem eigenen Laptop statt in einem Container genutzt hat.

Was es für dich bedeutet

Wenn du Claude Code als Selbstständiger oder in einem kleinen Team nutzt, oft ohne tiefe Programmierkenntnisse, gilt eine einfache Regel: Setz diese Variable nicht. Auf deinem Arbeitsrechner liegen Kundendaten, Rechnungen und Projekte. Ein einziger falsch verstandener Auftrag kann das löschen. Wer erst einmal verstehen will, wie der Agent arbeitet, findet in meinem Ratgeber Was ist Claude Code? Erklärung und Tutorial den Einstieg.

Stören dich die vielen Rückfragen, ist der auto-Modus die bessere Wahl. Anthropic empfiehlt ihn als Alternative: deutlich weniger Rückfragen, aber mit Sicherheitsprüfungen im Hintergrund (Doku).

Brauchst du wirklich unbeaufsichtigte Läufe, etwa für lange Aufgaben, dann nur so, wie Anthropic es beschreibt: in einem Container, einer VM oder einem Dev-Container ohne Internetzugang. Auf Linux und macOS kommt ein Nutzer ohne root-Rechte dazu (Doku). Was dort liegt, muss verzichtbar sein. Wie lange Agenten-Jobs mit Rückfragen sauber laufen, habe ich in Claude Code MCP Tasks: Lange Jobs, Rückfragen im Agenten beschrieben.

Ein praktischer Check: Zeigt Claude Code beim Start eine Meldung zu dieser Variable, obwohl du sie nie gesetzt hast, dann such sie zum Beispiel in deinem Shell-Profil und entferne sie. Das empfiehlt auch die Doku.

Wie sicherst du Team-Rechner ab?

Arbeiten mehrere Leute mit Claude Code, solltest du das nicht jedem Einzelnen überlassen. Dafür gibt es Managed Settings. Laut Anthropic stehen sie über allen anderen Ebenen: Keine Nutzer-, Projekt- oder lokale Einstellung überschreibt sie.

Den Bypass-Modus sperrst du, indem du permissions.disableBypassPermissionsMode auf "disable" setzt (Doku):

{
  "permissions": {
    "disableBypassPermissionsMode": "disable"
  }
}

Die neue Variable wirkt nur im Bypass-Modus. Ist der Modus gesperrt, läuft sie also ins Leere. In der Desktop-App regelt bei Team- und Enterprise-Tarifen ohnehin die Organisationsrichtlinie, ob der Bypass-Modus verfügbar ist (Doku).

Halte die Regel auch schriftlich fest, etwa in deiner KI-Richtlinie im Unternehmen: Bypass-Modus nur in isolierten Umgebungen, nie auf Rechnern mit echten Daten. Wie große Anbieter Coding-Agenten inzwischen überwachen, zeigt mein Artikel Microsoft KI-Agenten-Sicherheit: Claude Code in Defender.

Quellen

• Anthropic: Permission Modes (Claude Code Docs), Primärquelle
• Anthropic: Claude Code Changelog
• Anthropic: Deploy managed settings
• The Register: Anthropic now lets Claude users jump out of plane without parachute, 27. Oktober 2026

Häufige Fragen

Was macht CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS?

Die Variable schaltet im bypassPermissions-Modus die Rückfrage vor rm- und rmdir-Befehlen auf kritische Pfade ab, etwa auf dein Home-Verzeichnis oder dein Arbeitsverzeichnis. Sie braucht Claude Code 2.1.311 oder neuer und wirkt nur, wenn du sie in der Umgebung setzt, aus der du claude startest.

Ist --dangerously-skip-permissions dasselbe wie die neue Variable?

Nein. Das Flag --dangerously-skip-permissions startet den bypassPermissions-Modus. Selbst dort hat Claude Code bisher vor Löschbefehlen auf kritische Pfade gefragt. Erst die neue Variable schaltet auch diese Rückfrage ab.

Wie verhindere ich den Bypass-Modus auf Firmenrechnern?

Administratoren setzen in den Managed Settings permissions.disableBypassPermissionsMode auf "disable". Managed Settings stehen über allen anderen Einstellungsebenen, Nutzer können sie also nicht überschreiben.

Welcher Modus ist sicherer, wenn mich die vielen Rückfragen stören?

Anthropic empfiehlt dafür den auto-Modus. Er stellt deutlich weniger Rückfragen, prüft Aktionen aber im Hintergrund. Der bypassPermissions-Modus bietet laut Anthropic keinen Schutz gegen Prompt Injection oder ungewollte Aktionen.